Solana 블록체인의 인기 상승과 함께 Phantom Wallet은 비수탁형 암호화폐 지갑으로서 수백만 명의 사용자를 확보했습니다. 그러나 사용자가 늘어나면서 이를 노린 사기꾼들의 활동도 동시에 증가했습니다. 2024년 상반기부터 보고된 phantom wallet 관련 피해 사례들을 분석하면, 단순한 피싱을 넘어선 정교한 수법들이 발견됩니다. 개인 키 탈취, 지갑 모조, 가짜 토큰 스왑, 허위 에어드롭 등 다층적인 공격이 동시다발적으로 이루어지고 있습니다.

본 보고서는 실제 피해자들의 사례를 바탕으로 2024년에 가장 활발하게 이루어진 phantom wallet 사기 수법들을 단계별로 분석합니다. 기술적 취약점뿐 아니라 사용자의 행동 패턴을 이용한 사회공학적 공격 방식도 상세히 검토합니다. 각 사기 유형별 초기 신호, 실제 피해 발생 과정, 그리고 구체적인 예방 조치를 제시하여 사용자들이 자산을 보호할 수 있는 실질적인 방법을 제공합니다.

가장 활발한 피싱 공격: 가짜 확장 프로그램 설치

2024년 상반기 phantom wallet 사용자들을 대상으로 한 가장 광범위한 피해는 가짜 브라우저 확장 프로그램을 통해 발생했습니다. 공격자들은 “Phantom”이라는 정확한 이름 또는 “Fantom Wallet”, “Phantom Finance”, “Solana Phantom” 등 유사한 이름으로 Chrome Web Store, Firefox Add-ons, 제3자 확장 프로그램 사이트에 악성 확장 프로그램을 배포했습니다. 이들 가짜 확장 프로그램은 정상 phantom wallet의 UI를 완벽히 모방하면서 사용자가 시드 구문을 입력하는 순간 모든 정보를 자동으로 수집했습니다.

실제 피해 사례를 보면, 한 사용자는 구글 검색에서 “Phantom Wallet 다운로드”를 검색한 후 광고 영역에 나타난 링크를 클릭했습니다. 해당 페이지는 공식 chrome web store처럼 보였고, 다운로드한 확장 프로그램도 정상 phantom wallet과 구분 불가능했습니다. 사용자가 새 지갑을 생성하거나 기존 지갑을 복구하기 위해 시드 구문을 입력하자마자, 백그라운드에서 모든 개인 키 정보가 공격자의 서버로 전송되었습니다. 공격자는 즉시 해당 지갑의 모든 SOL과 SPL 토큰을 옮겨 갔습니다.

이러한 공격이 성공한 이유는 몇 가지입니다. 첫째, 브라우저 확장 프로그램은 높은 신뢰도를 가진 설치 경로입니다. 사용자들은 공식 스토어에서 다운로드했다고 가정하면 보안 검사를 건너뜁니다. 둘째, UI 모방 기술이 매우 정교해졌습니다. 공격자들은 phantom wallet의 오픈소스 코드나 스크린샷을 이용해 시각적으로 100% 동일한 인터페이스를 만들었습니다. 셋째, 초기 신호가 명확하지 않습니다. 가짜 확장 프로그램을 설치한 후 몇 주간 아무 문제 없이 작동하다가, 사용자가 시드 구문을 입력하는 순간에만 악의적 행동이 시작됩니다.

소셜 미디어 기반 사기: Discord, Twitter, Telegram의 함정

phantom wallet 사용자들은 대부분 암호화폐 커뮤니티에 활발히 참여합니다. 공격자들은 이를 이용해 Discord 서버, Twitter 댓글, Telegram 그룹에서 정교한 사기를 펼쳤습니다. 가장 흔한 수법은 공식 Phantom 커뮤니티를 모방한 가짜 서버나 그룹을 만드는 것입니다. 이들 가짜 채널에서는 “Phantom Wallet 보안 점검”, “에어드롭 청구”, “베타 기능 테스트” 등을 명목으로 사용자들을 가짜 웹사이트로 유인했습니다.

한 피해자의 구체적인 경험을 보면, 사용자는 공식처럼 보이는 Phantom 커뮤니티 Discord 서버에서 “보안 업데이트 확인” 메시지를 받았습니다. 메시지에는 링크가 포함되어 있었고, 클릭하면 phantom wallet과 정확히 동일한 인터페이스를 가진 웹사이트로 이동했습니다. 사용자는 “지갑 연결” 버튼을 클릭했고, 이는 공격자가 만든 가짜 WalletConnect 세션을 시작했습니다. 팝업 창에서 사용자가 트랜잭션에 승인했다고 생각했지만, 실제로는 지갑의 전체 제어권을 공격자에게 넘기는 서명을 승인한 것이었습니다.

이 공격 방식이 위험한 이유는 사용자가 시드 구문을 직접 입력하지 않았다는 점입니다. 따라서 전통적인 “시드 구문을 절대 공유하지 말라”는 경고가 적용되지 않습니다. 사용자는 자신이 이미 설치한 phantom wallet 앱에서 정상적으로 거래를 승인한 것으로 생각했지만, 실제로는 공격자가 제어하는 악성 서명 시스템과 연결되어 있었습니다. 소셜 미디어 그룹의 규모와 팔로워 수도 신뢰도에 영향을 미쳤습니다. 공격자들은 정상 멤버처럼 활동하는 봇들을 수천 개 확보해 커뮤니티가 실제 공식 채널인 것처럼 보이게 했습니다.

개인 키 관리 미흡으로 인한 피해 확대

phantom wallet의 가장 큰 보안상 강점은 사용자가 개인 키를 직접 관리한다는 점입니다. 하지만 이는 동시에 가장 큰 책임이기도 합니다. 2024년 보고된 피해 사례 중 상당수는 개인 키 관리 미흡으로 인해 초기 피해가 추가 피해로 확대되었습니다.

첫 번째 사례는 시드 구문의 보관 방식입니다. 많은 사용자들이 클라우드 서비스(Google Drive, iCloud, OneDrive)에 시드 구문을 저장합니다. 한 피해자는 Google Drive에 “Phantom Wallet Backup”이라는 파일로 시드 구문을 저장했습니다. 사용자의 구글 계정이 비교적 약한 비밀번호로 설정되어 있었고, 어느 날 계정이 해킹되었습니다. 해커는 Google Drive 파일을 열어 시드 구문을 확인했고, 즉시 phantom wallet을 사용해 지갑에 접근한 후 모든 자산을 탈취했습니다. 더욱 심각한 문제는, 이 사용자가 여러 개의 phantom wallet을 운영하고 있었는데 모든 시드 구문을 비슷한 방식으로 보관했다는 점입니다. 따라서 한 번의 클라우드 계정 해킹으로 모든 지갑이 한 번에 손상되었습니다.

두 번째 사례는 생체 인증의 오해입니다. 일부 사용자들은 phantom wallet에서 생체 인증(지문, 얼굴 인식)을 활성화하면 지갑이 완전히 보호된다고 생각했습니다. 하지만 생체 인증은 오직 로컬 기기 접근만 보호합니다. 누군가 시드 구문을 알고 있으면 어느 기기에서나 새로운 phantom wallet을 만들어 같은 지갑을 복구할 수 있습니다. 한 피해자는 자신의 휴대폰이 도난당했을 때 생체 인증이 활성화되어 있다고 생각해 안심했습니다. 그러나 도둑이 휴대폰 SIM 카드를 교체하고 계정 복구 메일을 통해 구글 계정에 접근한 후, 구글 드라이브에서 시드 구문을 얻었습니다. 결국 도둑은 다른 기기에서 phantom wallet을 복구해 자산을 탈취했습니다.

세 번째 사례는 여러 기기에서의 관리 미흡입니다. 한 사용자는 윈도우 컴퓨터, 맥북, 안드로이드 휴대폰에 모두 같은 시드 구문으로 phantom wallet을 설치했습니다. 윈도우 컴퓨터가 악성코드(특히 키로거)에 감염되었고, 공격자는 사용자가 입력한 모든 정보를 기록했습니다. 컴퓨터에 직접 입력된 시드 구문은 없었지만, 공격자는 phantom wallet 확장 프로그램이 평문으로 저장한 계정 정보와 거래 내역을 읽을 수 있었습니다. 궁극적으로 공격자는 충분한 정보를 모아 WalletConnect 세션을 탈취하는 데 성공했습니다.

NFT 관련 사기: 가짜 컬렉션과 악성 거래

phantom wallet은 Solana NFT 관리의 중심 플랫폼입니다. 이를 이용한 사기도 2024년에 급증했습니다. 가장 흔한 수법은 저명한 NFT 프로젝트를 모방한 가짜 컬렉션입니다. 공격자들은 유명 NFT 프로젝트(예: Magic Eden의 인기 컬렉션)와 동일한 아트워크를 사용해 Metaplex 또는 Tensor에 가짜 컬렉션을 등록했습니다. 가짜 컬렉션의 가격은 정상 컬렉션보다 훨씬 저렴했습니다.

한 피해자는 인기 있는 “Okay Bears” NFT를 저렴하게 구입할 기회를 발견했습니다. phantom wallet의 NFT 브라우저에서 검색하면 정상 컬렉션과 가짜 컬렉션이 모두 나타났습니다. 피해자는 가짜 컬렉션에서 NFT를 구입하기 위해 거래에 승인했습니다. 그런데 거래 내용을 자세히 확인하지 않은 채 서명했고, 실제로는 지갑의 전체 권한을 공격자에게 부여하는 거래였습니다. 공격자는 즉시 지갑의 모든 NFT와 토큰을 탈취했습니다.

또 다른 수법은 악성 NFT 메타데이터를 이용한 공격입니다. 공격자들은 NFT의 이미지 URL을 악성 스크립트를 실행하는 서버로 설정했습니다. 피해자가 phantom wallet의 NFT 갤러리에서 해당 NFT를 열어볼 때, 악성 스크립트가 실행되고 브라우저 캐시나 로컬 스토리지의 정보를 탈취했습니다. 이 공격은 특히 위험했는데, 사용자가 아무것도 하지 않고 단지 NFT 이미지를 본 것만으로 공격이 발생했기 때문입니다.

토큰 스왑 서비스를 이용한 스키밍과 가짜 토큰

phantom wallet은 Orca, Raydium, Jupiter 등 주요 Solana DEX와 통합되어 토큰 스왑 기능을 제공합니다. 공격자들은 이 기능을 악용해 여러 방식의 사기를 펼쳤습니다.

첫 번째는 토큰 스왑 수수료 스키밍입니다. 공격자들은 phantom wallet과 유사한 이름의 가짜 스왑 서비스를 만들었습니다. 사용자가 가짜 서비스를 통해 토큰을 스왑하면, 정상적인 스왑처럼 보이지만 실제로는 거래 수수료를 평소보다 훨씬 높게 책정했습니다. 사용자가 승인 버튼을 클릭할 때 표시된 수수료는 정상 범위였지만, 실제 거래 시 훨씬 높은 수수료가 부과되었습니다. 일부 피해자들은 수십만 원의 손실을 입었습니다.

두 번째는 가짜 토큰 생성입니다. 공격자들은 Solana의 SPL 토큰 표준을 이용해 유명 프로젝트의 이름과 심볼을 그대로 복사한 가짜 토큰을 만들었습니다. 예를 들어 “USDC”, “ORCA”, “RAYDIUM” 같은 정확한 이름의 가짜 토큰을 수백 개 생성했습니다. 사용자들은 phantom wallet에서 토큰을 검색할 때 이들 가짜 토큰을 정상 토큰으로 착각했습니다. 피해자가 가짜 “USDC”로 생각해서 거래했을 때, 실제로는 가치가 없는 토큰을 획득했고, 이를 실제 자산으로 생각해 다시 거래하려 할 때 엄청난 손실을 입었습니다.

세 번째는 리스팅 조작입니다. 공격자들은 정상 토큰의 가격을 급상승시키는 것처럼 보이게 하는 거래를 반복했습니다. 예를 들어, 가치가 거의 없는 토큰을 극도로 높은 가격에 거래하는 것을 반복해 phantom wallet의 토큰 가격 표시 시스템을 조작했습니다. 나이브한 사용자들은 해당 토큰의 가격이 급등하는 것을 보고 구매했고, 나중에 실제 가치가 거의 없다는 것을 알게 되었습니다. 이는 “러그풀(rug pull)” 사기의 변형된 형태였습니다.

DeFi 프로토콜 연동을 통한 권한 탈취

phantom wallet은 많은 DeFi 프로토콜과 연동됩니다. 사용자가 Lido, Raydium, Marinade 같은 서비스에 지갑을 연결할 때, 각 프로토콜에 일정 수준의 거래 권한을 부여합니다. 공격자들은 이 권한 시스템의 복잡성을 이용해 사기를 펼쳤습니다.

한 피해자는 정상으로 보이는 DeFi 수익 창출 프로토콜에 phantom wallet을 연결했습니다. 연결 과정에서 사용자는 지갑이 일정 금액의 토큰을 자동으로 사용하는 것을 승인했습니다. 이는 일반적인 DeFi 상호작용이므로 사용자는 크게 의심하지 않았습니다. 그러나 실제 권한은 훨씬 광범위했습니다. 공격자는 사용자의 승인을 이용해 지갑에 있는 모든 토큰을 무제한으로 사용할 수 있는 권한을 얻었습니다. 며칠 후 공격자는 이 권한을 이용해 사용자의 모든 자산을 탈취했습니다.

이러한 공격을 방지하려면 사용자가 각 DeFi 프로토콜에 부여한 권한(Allowance)을 정기적으로 확인하고 관리해야 합니다. Solscan이나 Magic Eden 같은 블록체인 탐색기를 통해 phantom wallet이 각 프로토콜에 부여한 정확한 권한을 확인할 수 있습니다. 불필요한 권한은 즉시 취소해야 합니다.

실용적인 예방 체크리스트: 단계별 보안 강화

앞서 분석한 사기 수법들을 바탕으로, phantom wallet 사용자들이 실행할 수 있는 구체적인 예방 조치를 제시합니다. 이 체크리스트는 기술적 깊이를 요구하지 않으며, 모든 수준의 사용자가 따를 수 있도록 설계되었습니다.

첫 번째 단계는 올바른 설치입니다. phantom wallet을 다운로드할 때 반드시 공식 채널만 사용해야 합니다. 브라우저 확장 프로그램은 Chrome Web Store, Firefox Add-ons, Brave 브라우저의 공식 추천 확장 프로그램 중에서만 설치해야 합니다. 공식 웹사이트(phantom.app)에서 제공되는 링크를 따라야 합니다. 검색 엔진의 광고 영역에 나타난 링크는 피해야 합니다. 모바일 앱은 Apple App Store 또는 Google Play Store의 공식 계정에서만 다운로드해야 합니다. 다운로드 후에는 설치된 확장 프로그램이나 앱의 세부 정보 페이지에서 발행자 정보를 확인해야 합니다. phantom wallet의 공식 개발사 정보와 일치하는지 검증해야 합니다.

두 번째 단계는 시드 구문의 안전한 보관입니다. 시드 구문은 절대 디지털로 저장하면 안 됩니다. 클라우드 서비스, 메모 앱, 이메일, 메시징 앱에 저장하면 안 됩니다. 대신 종이에 손으로 적거나 금속 판에 새겨 오프라인으로만 보관해야 합니다. 종이에 적을 때는 여러 장을 만들어 물리적으로 떨어진 안전한 장소(예: 금고, 친인척 집)에 보관해야 합니다. 화재나 물에 손상되지 않도록 방수 봉투에 넣어 보관하는 것이 좋습니다. 절대 사진으로 찍으면 안 됩니다. 또한 시드 구문을 누군가에게 말해서는 안 됩니다. 가족 구성원이나 친구를 포함해 어느 누구도 시드 구문을 알면 안 됩니다.

세 번째 단계는 강화된 기기 보안입니다. phantom wallet을 설치한 기기(컴퓨터, 휴대폰)의 보안이 가장 중요합니다. 운영체제와 모든 소프트웨어를 최신 버전으로 유지해야 합니다. 방화벽을 활성화하고 바이러스 백신을 설치해야 합니다. 공식 소스가 아닌 곳에서 소프트웨어를 다운로드하면 안 됩니다. 휴대폰의 경우 앱 설치 권한을 제한하고, “알 수 없는 소스에서 설치” 옵션을 비활성화해야 합니다. 규칙적으로 보안 업데이트를 확인하고 설치해야 합니다.

네 번째 단계는 phantom wallet 자체의 보안 기능을 활용하는 것입니다. 생체 인증(지문, 얼굴 인식)을 활성화해야 합니다. 강력한 로컬 비밀번호를 설정해야 합니다. Ledger 같은 하드웨어 지갑을 phantom wallet과 연동하면 더욱 강화된 보안을 얻을 수 있습니다. 하드웨어 지갑을 사용하면 개인 키가 기기에 보관되지 않고, 모든 거래가 물리적으로 확인되어야 하므로 매우 안전합니다.

다섯 번째 단계는 거래 승인 시 극도의 주의입니다. 어떤 거래든 승인하기 전에 정보를 세세하게 확인해야 합니다. 받는 주소, 보내는 금액, 수수료 등이 모두 정확한지 확인해야 합니다. 특히 WalletConnect나 다른 지갑 연결 기능을 사용할 때는 연결되는 프로토콜이 정말 신뢰할 수 있는 것인지 확인해야 합니다. 의심스러운 거래는 절대 승인하면 안 됩니다. 거래 시간을 기록해 나중에 검증할 수 있도록 해야 합니다.

여섯 번째 단계는 정기적인 권한 관리입니다. Solscan, Magic Eden 같은 블록체인 탐색기를 통해 phantom wallet이 각 DeFi 프로토콜에 부여한 권한을 월 1회 이상 확인해야 합니다. 사용하지 않는 프로토콜의 권한은 즉시 취소해야 합니다. 권한을 취소하는 거래도 정상적인 거래와 동일한 주의를 기울여 처리해야 합니다.

일곱 번째 단계는 소셜 미디어 신뢰성 판단입니다. Discord, Twitter, Telegram에서 phantom wallet 관련 메시지를 받을 때 극도로 의심해야 합니다. 공식 채널임을 확인하기 위해 가급적 공식 웹사이트에서 링크를 찾아 접속해야 합니다. 메시지나 댓글의 링크를 직접 클릭하면 안 됩니다. 프로필 사진, 확인 배지, 가입 시간 등을 확인해 가짜 계정인지 판별해야 합니다. 에어드롭이나 보상을 약속하는 메시지는 거의 대부분 사기입니다.